[发明专利]一种基于云计算的虚拟化系统及方法

说明书

技术领域

本发明涉及云计算领域，特别涉及一种基于云计算的虚拟化系统及方法。

背景技术

任意两个通信点之间的通信，无疑先要有若干中介设备相互连通。从互联网顶层冗佘容错设计至今，经过多年基于成功商用规模部署的发展，在任意两个通信点之间都已经部署了具有很大冗佘度的中介设备，两点之间的互联网路径远不止一条，不同路径应该动态互补，多条路径的流量带宽还可以叠加增大。能否充分有效利用互联网原始冗佘设计原理与多年成功的商业超提供(overprovision)部署所带来的以及可以支持的高带宽、高容错、低成本等诸多优良特性，取决于部署在位的大量中介设备是如何被控制而工作的。

然而，很不幸，基于包交换的转发技术的基本原理是：当通信点A要发一个包至Z时，先由A生成一个包头元数据，指定B(如省缺网关)解析A的包头信息，由B生成一个新的包头元数据，指定转发给C，…，最终由Y(如Z的省缺网关)生成一个新的也是最后一个包头元数据让Z收到A发出的payload数据。这样的技术完全由转发设备按接力跑方式听从上一跳转发设备指挥，制作下一跳转发路径。很显然，由A制作发给B的、由B制作发给C的、…、最后由Y制作发给Z的包头元数据是先验输入，最终路径是从先验论得出的结果输出，即：由这些中介设备听从上一跳设备指令而得出的路径当然是固定不变的，比如网络包一旦离开了某个中介转发设备(如B)，后面路径是否通畅，该转发设备(B)就再也无法参与路径控制了。这样的控制与转发混搭在一起的包交换技术当然无法有效利用互联网顶层设计以及后来多年成功商业规模部署，更无法利用超大冗佘流量带宽，动态躲避拥塞，和动态叠加流量带宽。

业界已经正在逐步更新换代包交换技术采用的转发中介设备，并提出了一些新的控制标准，比如OpenFlow控制与转发分离标准。体现在云计算IaaS层(InfrastructureAsAService)，互联网通信控制与转发混搭目前仍然存在转发中介设备造成的极大程度浪费互联网带宽资源的现状。

发明内容

为解决上述现有技术所存在的问题，本发明提出了一种跨数据中心的安全云IaaS网络，使任意物理网段服务器无缝加盟并网，并且打破租户逻辑网络与底层物理网络之间的耦合。

本发明采用如下技术方案：一种基于云计算的虚拟化系统，包括：

运行在VMM上的虚拟机；

身份认证模块，配置为响应于租户的请求生成虚拟机，在一个VMM上为该虚拟机生成一个唯一标识的身份UUID，对当前服务VMM为该虚拟机的UUID身份进行真实性认证；

迁移模块，用于为UUID绑定生成一个公钥、私钥的密钥对以及公钥PKI证书；调用预定义的可信计算证书迁移标准，将当前服务VMM所保护的虚拟机私钥安全迁移至目标VMM；

数据管理模块，用于在租户为虚拟机的身份定义通信策略后，管理与维护所述通信策略以及用于证明虚拟机身份真实性的PKI证书；

其中，所述虚拟机包括至少一个源虚拟机和目标虚拟机，当源虚拟机向目标虚拟机发出连接请求时，目标虚拟机验证源VMM所证明的虚拟机身份的真实性，根据所述通信策略确定是否允许该连接请求。

优选地，其中所述连接请求的输入数据中不含有任何网络包元数据信息，源VMM发起请求时用到的目标地址是目标虚拟机当前使用的临时地址，该临时地址是由服务于目标虚拟机的目标VMM临时动态分配给目标虚拟机的地址。

优选地，其中当虚拟机身份的真实性验证通过并且允许该连接请求时，租户组织的内部私有网络是一个定义在虚拟机身份上的网络，与虚拟机所处的物理网络属性无关。

优选地，其中所述身份认证模块进行身份验证进一步包括：

该私钥被当前服务VMM所在服务器上的可信计算系统保护与管理，当前服务VMM为该虚拟机身份真实性认证所做出数字签名，对该虚拟机的身份做出真实性验证。

优选地，其中所述源虚拟机对目标虚拟机的身份验证进一步包括：

当身份为ID1的源虚拟机向身份为ID2的目标虚拟机发出连接请求时，为源虚拟机服务的当前VMM从源虚拟机截获网络包，用网络包中的目标地址向数据管理模块查询目标虚拟机的身份及租户定义的通信策略；

数据管理模块收到源VMM发来的查询请求后，验证源VMM证明的身份ID1的真实性，验证通过后，向源VMM返回目标虚拟机的身份ID2，以及租户定义的通信策略；